根据App专项治理工作组发布的《人脸识别应用公众调研报告》,64.39%的受访者认为人脸识别技术有被滥用的趋势,30.86%的受访者已经因为人脸信息被泄露、滥用等遭受损失或者隐私被侵犯。这类风险也从线上延伸到线下,此前,曾有媒体报道售楼处肆意收集、辨识人脸信息。不久前,最高人民法院发布司法解释,规范人脸识别应用。

 不少用户在跨平台使用智能设备应用程序时,经常有这样的困惑:在某个平台搜过的内容,为什么到了另一个平台也会被推送?储存在各类应用程序中的个人信息能否得到妥善保管?

 11月1日,个人信息保护法正式实施,个人信息安全将得到全方位保护。筑牢信息使用的安全边界,需要监管体系、企业责任与用户意识等层面的共同推进。

 还在浏览楼盘信息,就接到销售电话;注册完会员,推销短信就铺天盖地;搜索过一个物品,就频频收到类似产品广告……这些体验让许多用户很困惑:谁动了我的个人信息?为什么手机这么“懂”我?

 个人信息须妥善保管

 随着移动互联的飞速发展,各类手机App、应用小程序,已经成为人们社交、日常生活、学习工作中必不可少的一部分。那么,海量的个人信息都被存储到了哪里?

 绿盟科技集团副总裁李晨介绍,各类应用程序后端都会有一个数据存储环境,数据库中存储了海量的应用数据与个人信息。比如,人们使用各种社交App,在上面发布的文字或者图片都会产生数据,经过处理和网络传输,最终存储到后端的数据库。数据库一般位于企业数据中心,或者云服务商提供的“云端”。数据库系统和里面的数据,由商家、应用程序的运营者来维护和保管。

 个人信息是否会被“任性”使用?

 李晨表示,企业收集的个人信息是否能得到有效保护,一定程度上取决于企业的数据安全管控水平。今年9月1日正式实施的数据安全法,还有国家及行业的相关标准要求,都要求企业提升数据安全管控能力。不过,技术的持续发展,对企业数据安全能力提出了更高要求。不同企业的数据安全建设水平参差不齐,导致部分用户的个人信息依然面临被非法获取、滥用、泄露等风险。

 类似隐患还包括人脸等生物信息。根据App专项治理工作组发布的《人脸识别应用公众调研报告》,64.39%的受访者认为人脸识别技术有被滥用的趋势,30.86%的受访者已经因为人脸信息被泄露、滥用等遭受损失或者隐私被侵犯。这类风险也从线上延伸到线下,此前,曾有媒体报道售楼处肆意收集、辨识人脸信息。不久前,最高人民法院发布司法解释,规范人脸识别应用。

 信息收集不得超出范围

 每次下载App或者授权个人信息使用时,北京市民刘女士都会浏览隐私政策条款,不过,她发现,这些说明或十分冗长,或非常隐蔽,“对普通用户不是很友好”。

 隐私政策被认为是网络服务提供者(企业)与用户之间的合同,用于声明企业如何收集、使用以及保护用户的个人信息。

 北京云嘉律师事务所副主任赵占领表示,网络安全法规定,网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则。收集个人信息的范围,应当跟提供的产品和服务有直接关联,不能超出这个必要的范围。同时,收集用户的敏感个人信息时,应当经过用户的明示同意,而不仅仅是简单的默认勾选用户协议这种一揽子方式。

 目前,仍有一些应用程序存在超范围收集个人信息的问题,例如,收集过多个人信息、过度索取权限、强制用户使用定向推送功能、私自向第三方共享用户信息,以及无法注销账号等。

 对于个人用户来说,一方面,无法确定企业在收集了自己的个人信息之后会如何使用、如何保护,是否被泄露或滥用。即便有所顾虑,在面对“不给权限不让用App”“频繁申请权限”“过度索取权限”等问题时,也往往会选择妥协。同时,遇到个人信息侵权问题时,由于缺少保护意识,维权成本高、时间长、举证困难,一些人会选择放弃维权。

 2019年以来,中央网信办等四部门持续在全国范围开展App违法违规收集使用个人信息专项治理,已检测App数万款,对问题较为严重的千余款App采取了公开曝光、约谈、下架等处理处罚措施,发现并监督整改了一大批强制授权、过度索权、超范围收集个人信息问题的App,治理卓有成效。

 只共享必要的个人信息

 在某购物App中搜索了电视这一产品后,浙江杭州的王女士发现,随手打开的另一个App中也出现了相关产品的推荐,“其他App是怎么知道我搜索了电视的?”

 海问律师事务所合伙人杨建媛分析,目前引发手机用户隐私泄露担忧的,主要是跨平台的广告推送、个性化内容推荐。“跨平台的广告推送或内容推荐,相当一部分发生在大型互联网平台的关联公司或授权合作伙伴之间。”杨建媛说,查阅一些大型互联网平台的隐私权政策,会发现其中有“与关联公司间共享”“与授权合作伙伴共享”等条款。从技术手段看,每台手机设备都有唯一的标识符,用户在同一台手机设备上使用不同的应用程序时,应用程序追踪获取到这个唯一的标识符,便有可能精准地进行跨平台广告推送和效果追踪;此外,用户在浏览网页时,浏览器的cookie技术也会记录使用足迹。

 在精准营销的时代,跨平台广告推送和个性化内容推荐越来越频繁,用户是否需要为此担忧?杨建媛表示,个人信息保护法规定,通过自动化决策方式向个人进行信息推送、商业营销,应当同时提供不针对其个人特征的选项,或者向个人提供便捷的拒绝方式。《信息安全技术 个人信息安全规范》指出,收集个人信息后个人信息处理者宜立即进行去标识化处理。不过,在大数据时代,如果数据存储不当或者访问、使用权限管理不严格,借助数据挖掘、关联匹配技术,经过去标识化处理的信息,仍然有暴露个人敏感身份信息的风险。为防范这些风险,应借助法律手段严格规范互联网公司收集、存储、共享、使用个人信息的行为,即便是关联公司之间也应只共享必要的个人信息。另外,用户也要加强隐私保护意识,安装和使用应用程序时注意阅读隐私权条款,比如,一些应用程序的个性化广告推荐选项是默认开启的,用户可以选择关闭。

 我国目前已形成一套相对完善的个人信息保护法律体系,涵盖民法典、刑法、未成年人保护法、电商法、网络安全法、广告法、消费者权益保护法、数据安全法及个人信息保护法等。筑牢个人信息使用的安全边界,离不开监管要求、企业责任与用户意识等层面的共同推进。

 李晨建议,监管机构应加大监管和处罚力度,并为用户提供便利的维权渠道;企业应承担起保护用户个人信息的责任与义务,遵守个人信息保护相关法律法规,谨守合规红线;用户则应提升自身个人信息保护意识,提升数字素养。